Credential stuffing : comment un seul mot de passe ayant fuité peut compromettre tous vos comptes

Une boutique en ligne sur laquelle vous avez commandé quelque chose il y a des années a été piratée. C’est embêtant, mais qu’est-ce qui peut vous être volé ? Beaucoup plus que vous ne le pensez. Si vous utilisez le mot de passe de cette boutique en ligne pour votre boîte mail ou votre banque, les criminels peuvent avoir accès à toute votre vie numérique.

À l’heure actuelle, le credential stuffing est l’une des techniques de piratage les plus courantes et les plus sous-estimées. Le principe est étonnamment simple. Les criminels collectent d’énormes listes de noms d’utilisateur et de mots de passe qui ont été récoltés lors de précédentes fuites de données. Ils laissent ensuite des bots tester ces combinaisons sur des centaines d’autres sites Web : boîtes mail, boutiques en ligne, réseaux sociaux, services de streaming et plateformes bancaires et d’investissement.

Toute la stratégie repose sur une habitude humaine : la réutilisation des mots de passe. D’après une analyse du Rapport d’investigation sur les violations de données, en moyenne, seuls 49 % des mots de passe d’une personne sont uniques (source). Nous utilisons donc la moitié de nos mots de passe pour différents usages. Pour un criminel, il s’agit d’une occasion en or, car un mot de passe fuité permet dans la moitié des cas d’accéder aussi à un autre compte. Selon le même rapport, même 88 % des attaques sur les applications Web impliquent l’utilisation d’identifiants volés.

Les chiffres sont impressionnants : 26 milliards de tentatives de credential stuffing par mois (source). En juin 2026, une base de données accessible au public a été découverte avec pas moins de 24 milliards d’identifiants volés : adresses e-mail, mots de passe et les sites Web sur lesquels ils sont utilisés (source).

Les pirates informatiques ne craquent plus, ils se connectent simplement

Ce qui rend le credential stuffing si vicieux est que cette pratique ressemble à une tentative de connexion tout à fait normale. En effet, le criminel utilise votre véritable nom d’utilisateur et votre vrai mot de passe. Rien n’est forcé, aucune faille de sécurité n’est exploitée, aucun pare-feu n’est contourné. La porte d’entrée s’ouvre simplement avec la bonne clé.

De plus, les informations nécessaires à une telle attaque s’achètent pour une bouchée de pain. Les identifiants volés sont regroupés dans ce qui est appelé des combolists, qui sont souvent vendues pour quelques centimes par millier de combinaisons sur les marchés clandestins et les canaux Telegram. Le logiciel permettant de tester automatiquement ces listes est tout aussi bon marché et ne nécessite que peu de connaissances techniques.

La probabilité de réussite par tentative est faible : généralement comprise entre 0,1 % et 2 % (source). Ces chiffres ne semblent a priori pas menaçants, jusqu’à ce que vous fassiez le calcul. Si vous testez une liste de 100 millions d’identifiants, même avec 0,1 % de réussite, vous parvenez malgré tout à pirater 100 000 comptes.

D’où viennent tous ces mots de passe ?

Auparavant, les fuites de données étaient la principale source dans les grandes entreprises. Aujourd’hui, la tendance est plutôt aux « infostealers » (voleurs d’informations) :des logiciels malveillants qui sont installés à votre insu sur votre ordinateur ou votre smartphone, par exemple via un e-mail de phishing ou un téléchargement infecté. Un tel programme détourne silencieusement tous les mots de passe stockés dans votre navigateur, ainsi que les cookies et les données saisies dans les formulaires.

Ce butin est ensuite regroupé et revendu. Il s’agit d’identifiants récents et toujours valides, ce qui les rend particulièrement précieux pour les criminels.

Les investisseurs sont également une cible

Le credential stuffing ne concerne pas seulement les services de streaming ou les boutiques en ligne. Les comptes financiers sont une cible de choix pour les criminels. En mars 2025, plusieurs fonds de pension australiens ont été ciblés simultanément avec des données de connexion volées. La plupart des attaques ont été repoussées, mais les membres d’un seul fonds de pension ont perdu environ 300 000 euros (source).

La logique est simple : quiconque accède à votre boîte mail via un mot de passe réutilisé peut réinitialiser les mots de passe d’autres comptes à partir de celle-ci. Et quiconque entre sur une plateforme d’investissement peut agir en votre nom ou tenter de détourner des avoirs. Votre boîte mail est le joyau de la couronne : celui qui la contrôle, contrôle presque tout.

Conseil : Vous vous demandez si un message, un appel téléphonique ou un e-mail provient vraiment de Keytrade Bank ? Utilisez la fonction d’appel dans l’app Keytrade Bank pour nous téléphoner. Vous avez ainsi la certitude de parler à un collaborateur officiel.

Les Belges choisissent aussi des mots de passe trop simples

Une étude menée par l’entreprise belge de cybersécurité Spotit révèle que le problème nous concerne également. Des pirates éthiques ont testé les mots de passe de plus de 67 000 travailleurs dans des entreprises belges : 58 % d’entre eux ont pu les trouver en l’espace d’une heure. Les combinaisons d’un nom d’entreprise avec une année ou une saison, comme Bienvenue2025, ont notamment été souvent utilisées (source). Un mot de passe faible au travail l’est généralement aussi à la maison.

Comment vous protéger ?

1. Utilisez un mot de passe unique pour chaque compte

Il s’agit de l’essence du problème. Le credential stuffing ne fonctionne que si vous réutilisez des mots de passe. Si vous utilisez un mot de passe différent partout, les dommages causés par une fuite de données sont limités à un seul compte.

2. Laissez un gestionnaire de mots de passe faire le travail

Mémoriser des dizaines de mots de passe uniques et sécurisés est presque impossible. Un gestionnaire de mots de passe les crée et les conserve pour vous. Il ne vous reste plus qu’à mémoriser un seul mot de passe principal fort.

3. Activez l’authentification en deux étapes

Même si les criminels obtiennent votre mot de passe, une seconde approbation via votre smartphone ou une application d’authentification les empêche d’accéder à vos comptes. Pour les comptes financiers, ce n’est pas une option, mais une nécessité.

4. Vérifiez si vos données ont déjà été compromises

Le service gratuit Have I Been Pwned vous permet de vérifier si votre adresse e-mail apparaît dans des fuites de données connues. Si c’est le cas, modifiez immédiatement le mot de passe de ce compte et de chaque compte pour lequel vous avez utilisé le même mot de passe. Commencez par votre boîte mail.

5. Privilégiez les clés d’accès lorsque c’est possible

De plus en plus de services proposent des « passkeys » (clés d’accès) : une méthode de connexion sans mot de passe, liée à votre appareil et sécurisée par votre empreinte digitale ou votre visage. Une clé d’accès ne peut pas être volée lors d’une fuite de données et est donc immunisée contre le credential stuffing.

6. Faites attention à votre navigateur

Les voleurs d’informations ciblent les mots de passe enregistrés dans votre navigateur. Faites donc attention aux téléchargements et aux liens suspects, maintenez votre logiciel à jour et utilisez un bon antivirus.

7. Réagissez immédiatement en cas de signaux suspects

Une notification concernant une tentative de connexion que vous ne reconnaissez pas ? Un e-mail vous informant que votre mot de passe a été modifié alors que vous n’en savez rien ? Ne perdez pas de temps. Modifiez votre mot de passe et prévenez votre banque si nécessaire. [CTA]

En ligne en toute sécurité avec Keytrade Bank

Chez Keytrade Bank, la sécurité est une priorité absolue. Des données bancaires personnelles laissées sur un site web suspect ? Des données personnelles transmises par téléphone à un inconnu ? Vous remarquez un paiement que vous n’avez pas réalisé vous-même ? … Appelez-nous 24 h/24 et 7 j/7 au + 32 2 679 90 00